für den IT-Administrator

Redaktion IT-Administrator

In jeder Ausgabe präsentiert Ihnen IT-Administrator Tipps, Tricks und Tools zu den aktuellen Betriebssystemen und Produkten, die in vielen Unternehmen im Einsatz sind. Wenn Sie einen tollen Tipp auf Lager haben, zögern Sie nicht und schicken Sie ihn per E-Mail an tipps@it-administrator.de.

Viele unserer Mitarbeiter nutzen gern die Apple-Touch-ID-Funktion auf dem MacBook Pro: Ein langes und kompliziertes macOS-Passwort ist damit nicht mehr erforderlich. Gibt es eine Möglichkeit, dies auch für virtuelle Maschinen zu nutzen?

Mit der neuesten Version von Parallels Desktop 17 ist es möglich, sich in einer Windows-10-VM auf dem iMac via Fingerabdruck anzumelden. Ein komplexes Passwort oder eine PIN ist dann nicht mehr notwendig. Es werden allerdings nicht alle USB-Fingerprint-Scanner akzeptiert. Dafür findet die Technologie Windows Hello Verwendung, die Passwörter, PINs und erweiterte Funktionen wie Fingerabdruckerkennung sowie Sicherheitsschlüssel unterstützt. Um die Fingerabdruckerkennung zu nutzen, müssen Sie in Ihrer VM zunächst ein Anmeldekennwort, eine Anmelde-PIN und ein Trusted Platform Module (TPM) einrichten. Wenn Sie zum ersten Mal eine VM in Parallels Desktop einrichten, wird die VM mit demselben Benutzernamen wie auf Ihrem Mac und einem leeren Passwort konfiguriert. Wenn Sie noch kein echtes Passwort erstellt haben, müssen Sie dies nachholen. Richten Sie gleichzeitig eine PIN ein. Diese ersten beiden Aufgaben können Sie über das Fenster "Anmeldeoptionen" ausführen.

Auf einem PC ist das TPM eine Hardwarekomponente, die zur Implementierung von sicherheitsrelevanten Funktionen wie BitLocker und Secure Boot zum Einsatz kommt. In einer VM implementiert Parallels Desktop die Unterstützung für TPM mit einem virtuellen TPM (vTPM) in allen Parallels-Desktop-Versionen. Sie ist nicht standardmäßig aktiviert, wenn Sie eine VM zu Windows 11 upgraden oder eine neue Windows-11-VM erstellen. Um vTPM zu einer bestehenden VM hinzuzufügen, fahren Sie diese herunter, öffnen Sie das Konfigurationsfenster und klicken Sie auf die Registerkarte "Hardware". Klicken Sie am Ende der Liste der Hardware in Ihrer VM auf das "+"-Zeichen und wählen Sie "TPM Chip". Es erscheint ein Dialogfeld mit der Rückfrage "Sind Sie sicher...?". Mit Klick auf die Schaltfläche "Hinzufügen" bestätigen Sie den Vorgang. Doch beachten Sie: Sobald ein vTPM-Chip zu einer VM hinzugefügt wurde, funktioniert diese VM auf keinem anderen Mac mehr. Dies gilt auch bei späterem Entfernen des vTPM.

Bedenken Sie außerdem, dass der USB-Fingerabdruckleser nur an die VM angeschlossen sein und nicht mit dem Mac geteilt werden darf. Stellen Sie sicher, dass die Option "Meine Auswahl speichern" aktiviert ist, damit der USB-Fingerabdruckleser beim Neustart von Windows korrekt mit der VM verbunden wird. Klicken Sie im Fenster mit den Anmeldeoptionen auf "Windows Hello-Fingerabdruck" und dann auf die Schaltfläche "Einrichten". Danach beginnt der Prozess der Registrierung Ihres Fingerabdrucks. Nach dem Scan sollten Sie den Fingerabdruck als eine der Anmeldeoptionen sehen und auswählen können, um sich damit in Ihrer VM anzumelden.

Wir verwenden auf unserem PRTG-Network-Monitor-Server bisher das mitgelieferte, selbstsignierte SSL-Zertifikat. Damit sichern wir unsere Verbindungen zum PRTG-Webserver ab und können via HTTPS auf das Webinterface von PRTG zugreifen. Wie bei allen selbstsignierten Zertifikaten zeigen Browser beim Zugriff eine SSL-Zertifikat-Warnung an. Nun möchten wir ein vertrauenswürdiges SSL-Zertifikat bereitstellen. Können wir das Zertifikat einfach austauschen und falls ja, wie sollen wir hier vorgehen?

PRTG Network Monitor bietet die Möglichkeit, ein vertrauenswürdiges SSL-Zertifikat bereitzustellen, das dem DNS-Namen oder der IP-Adresse Ihres PRTG-Core-Servers entspricht. Das Zertifikat muss dazu lediglich von einer gültigen Zertifizierungsstelle (CA) unterzeichnet sein, zum Beispiel DigiCert, GoDaddy oder InstantSSL. PRTG benötigt drei verschiedene Zertifikatsdateien, die korrekt benannt sein und im PEM-codierten Format vorliegen müssen. Sie benötigen eine CRT-Datei, das ist das Zertifikat für den Core-Server. Dann eine KEY-Datei, also den privaten Schlüssel, der mit dem Zertifikat für den Core-Server übereinstimmt. Zuletzt noch eine PEM-Datei, das öffentliche Root-Zertifikat des Zertifikatsausstellers. Für den Import des Zertifikats in den Server empfehlen wir die Verwendung des Tools "PRTG Certificate Importer", das der Hersteller kostenlos zum Download [Link-Code: https://www.paessler.com/de/tools/certificateimporter/] zur Verfügung stellt. Dort finden Sie auch eine Schritt-für-Schritt-Anleitung für die Verwendung des Werkzeugs. Alternativ können Sie die Zertifikate manuell importieren. Mehr zur Einrichtung eines vertrauenswürdigen SSL-Zertifikats inklusive verschiedener Tipps für eine etwaige Fehlersuche erfahren Sie in einem How-to-Guide unter [Link-Code: https://www.paessler.com/de/support/how-to/ssl-certificate/].

Viele weitere Tipps und Tricks rund um das Thema Monitoring mit PRTG finden Sie in der Paessler Knowledge Base unter https://kb.paessler.com/.

Ein Großteil der Verwaltungsaufgaben in einer VMware-Umgebung lässt sich allein mit PowerCLI realisieren. Für manche Zwecke benötigen wir jedoch direkten Zugriff auf die Shell eines ESXi-Hosts. Ein Beispiel hierfür ist die Installation von Firmware-Upgrades für Netzwerkkarten, Storage-Controller oder BIOS, die meist mit klassischen Linux-Tools über SSH aufzuspielen sind. Wie gehen wir hier am besten vor?

SSH-Zugriff auf ESXi-Server ist in den meisten Umgebungen aus Sicherheitsgründen jedoch deaktiviert. Ein erster Anwendungsfall für PowerCLI ist daher das Aktivieren des SSH-Zugangs auf allen ESXi-Hosts eines Clusters. Dazu müssen Sie zunächst mit dem Befehl Install-Module -Name "VMware.PowerCLI" -Scope AllUsers das Modul "VMware.PowerCLI" installieren, bevor sich eine Verbindung zu einem vCenter herstellen lässt. Anschließend erstellen Sie ein Credential-Objekt mit den folgenden Kommandos:

Nun verbinden Sie sich über folgende Befehle mit dem vCenter:

Um für alle Hosts des Clusters "myCluster" den Service "TSM-SSH" zu starten, benutzen Sie den folgenden Befehl:

Jetzt können Sie sich per SSH mit jedem der ESXi-Hosts im Cluster verbinden.

Gibt es allgemein gültige Tipps, mit denen sich die Leistung von vCenter verbessern lässt?

Wollen Sie die Performance von vCenter erhöhen, untersuchen Sie im ersten Schritt, ob nicht die Clientperformance oder ein Netzwerkengpass zwischen Client und vCenter die vermeintlichen Performanceprobleme verursachen. Die auf Basis der VMware eigenen Linux-Plattform "Photon OS" ausgelieferte vCenter-Server-Appliance erfüllt in vielen Fällen ohne weitere Modifikation die Anforderungen bezüglich Performance. Selbstverständlich ist dafür zu sorgen, dass vCenter über ausreichende CPU- und RAM-Ressourcen verfügt. Diese lassen sich bei Bedarf auch erhöhen.

Besonderes Augenmerk gilt der vCenter-Datenbank, da die Gesamtperfor-mance von vCenter sehr stark von der Datenbank abhängt. vCenter sammelt unter anderem Statistiken. Wie detailliert dies erfolgt, lässt sich von Level 1 bis 4 konfigurieren. In der Regel reicht die kleinste Detailtiefe (Level 1) völlig aus. Erhöhen Sie die Detailtiefe, müssen Sie auf jeden Fall die Latenzen der für die Datenbank verwendeten virtuellen Festplatte (Hard Disk 6) im Auge behalten. Steigen die Latenzen, empfiehlt sich, zumindest die Datenbank auf ein Storage-System mit besserer Performance zu verschieben. Sind Abfragen der Datenbank langsam, kann es auch helfen, in der vCenter-Datenback das Kommando VACUUM ANALYZE; auszuführen. Wie Sie sich mit der vCenter-Datenbank verbinden, beschreibt [Link-Code ls1c98]. Generell sollte die CPU-Last des vCenters 70 Prozent nicht überschreiten. Ist dies doch der Fall, gibt es zwei typische Quellen dieser Last:

- Der vCenter-Dienst selbst (vpxd): Hier hilft es typischerweise, für vCenter mehr vCPUs zu konfigurieren.

- Java-Dienste: Hier kann es hilfreich sein, den Java Memory Heap zu vergrößern.

Welche Dienste wie stark zur CPU-Last beitragen, finden Sie auf der vCenter-Kommandozeile mit dem Kommando vimtop heraus.

In unserem Unternehmen befassen wir uns derzeit intensiv mit den regulatorischen Vorgaben der DSGVO. Zudem wollen wir unsere Infrastruktur um AWS-Clouddienste erweitern und automatisiert Daten übernehmen, transformieren und auswerten. Wie können wir verhindern, dass personenbezogene Daten unabsichtlich und unentdeckt verarbeitet werden?

Daten kommen für die strategische Entscheidungsfindung auf allen Ebenen eines Unternehmens zum Einsatz. Gerade für kleine Firmen und Start-ups ist es aber oftmals aufwendig, sensible Daten – beispielsweise personenbezogene Informationen – datenschutzkonform zu speichern, wenn sie nicht benötigt werden. Eine besondere Herausforderung stellen dabei unstrukturierte Informationen wie Dateien aus der Prozessberichterstattung, Textdateien aus Chatprotokollen und E-Mails dar.

Aus diesem Grund unterstützt AWS Unternehmen jeder Größe mit spezialisierten Werkzeugen – beispielsweise mit Amazon Macie. Dabei handelt es sich um einen vollständig verwalteten Dienst für Datensicherheit und Datenschutz. Macie verwendet maschinelles Lernen und Musterabgleiche, um sensible Daten in AWS zu erkennen. Über einen zusätzlichen Kontrollpunkt stellt der Service sicher, dass sensible Daten vor der Verarbeitung entsprechend redigiert oder durch Tokens ersetzt werden. Macie unterstützt die gängigsten sensiblen Datentypen – einschließlich personenbezogener Informationen und Logindaten. Nachfolgend zeigen wir Ihnen, wie Sie Macie aktivieren und Ihre Liste mit Custom Data Identifiers erweitern, um proprietäre sensible Daten für Ihr Unternehmen zu ermitteln:

1. Wählen Sie in der Macie-Konsole "Enable Macie".

2. Nach der Aktivierung stellt Macie automatisch eine Zusammenfassung Ihrer S3-Buckets in Ihrer Region bereit und wertet diese kontinuierlich aus.

3. Unterhalb des "Summary" sehen Sie die wichtigsten Ergebnisse – sortiert nach Typ und S3-Bucket. Im Abschnitt "Findings" erscheint die vollständige Liste der Befunde. Dort lassen sich diese auswählen, archivieren, wiederherstellen oder exportieren.

4. Im Abschnitt "S3 Buckets" können Sie nach Buckets suchen und filtern, um Aufträge zur Erkennung sensibler Daten für einen oder mehrere Buckets zu erstellen.

Zum Erstellen von Custom Data Identifiers geben Sie einen regulären Ausdruck (Regex) ein und beschreiben damit das Muster, das übereinstimmen soll: [A-Z]-\d{8}. Um Fehlalarme zu vermeiden, sollte sich das Employee-Keyword in der Nähe des Identifiers befinden. Für einen Test der Konfiguration können Sie unter "Evaluate" einen Beispieltext eintragen und ihn durch einen Klick auf "Submit" ausführen.

Ein enorm lästiges Problem, das gewiss jeder Windows-Anwender kennt, ist die Weigerung des Betriebssystems, eine Datei zu löschen, weil diese noch im Zugriff durch einen anderen Prozess ist. Weigert sich Windows mit diesem Kommentar, dem Löschwunsch des Users nachzukommen, ist mit Bordmitteln in der Regel nichts zu erreichen. Das kostenlose ForceDelete umschifft diese Klippe. Die Software löst das Problem, wenn Nutzer gesperrte Dateien weder in den Papierkorb verschieben noch dauerhaft entfernen können.

Die meisten Dateien und Programme lassen sich problemlos aus dem System entfernen. Doch wie erwähnt blockieren manchmal bestimmte Prozesse das Löschen und ein Werkzeug wie ForceDelete muss zum Einsatz kommen. Die einfache Bedienung erlaubt, Dateien und Ordner einfach per Drag-and-Drop in das Programmfenster zu ziehen, um diese zu löschen. Über Optionen am unteren Rand der Anwendung lässt sich der Löschprozess genauer kalibrieren und so festlegen, ob nur das gewählte Ziel oder entsprechende Verknüpfungen im Kontextmenü verschwinden sollen.

Außerdem kann der Nutzer bestimmen, ob auch der oder die Prozesse, die den Vorgang blockieren, zu stoppen sind. Grundsätzlich ist das Tool aber in der Lage, den Prozess beim gewünschten Löschvorgang unangetastet zu lassen. Besonders gründlich geht beim Löschvorgang die Schredder-Option zu Werke, denn mit ihr wird wirklich alles unwiderruflich gelöscht.

Link-Code: https://autoclose.net/forcedelete.html

Die Verwaltung privilegierter Accounts ist einer der wichtigsten Bereiche der Datensicherheit für jedes Unternehmen. Privilegierte Konten erlauben Administratoren, aber auch anderen Benutzern innerhalb eines Unternehmens, auf kritische Daten und Anwendungen zuzugreifen. Waren diese Accounts früher spärlich gesät, haben sich ändernde Unternehmensabläufe dazu geführt, dass solche Konten heute zahlreicher und weiterverbreitet sind. Werden diese nicht sicher verwaltet, sind IT-Verantwortliche den Risiken von verwaisten oder kaum bekannten Konten mit hohen Rechten ausgesetzt. Gleichzeitig agieren Kriminelle und Hacker immer geschickter, wenn es um den Diebstahl und die Verwendung von Zugangsdaten für privilegierte Konten geht. Und längst sollten derartige nicht nur auf Windows-, sondern auch in Linux- und Unix-Maschinen bekannt und dokumentiert sein. Das freie Unix Privileged Account Discovery Tool von Thycotic hilft dabei.

Das kostenlose Tool stellt Anbieter Thycotic nach einer kurzen Registrierung zum Download zur Verfügung. Startet der Admin anschließend das Tool, führt dieses einen Scan der Umgebung durch, der nach Linux- und Unix-Verwundbarkeiten sucht. Dazu zählen im Umfeld der privilegierten Accounts neben nicht unterstützten Unix/Linux-Plattformen auch unerwartete Benutzergruppen sowie Accounts und Passwörter, die kein Ablaufdatum haben. Schließlich findet die Software auch Passwörter, die sich noch nie geändert haben. Seine Ergebnisse fasst das Unix Privileged Account Discovery Tool in einem PDF-Bericht wie im Bild auf dieser Seite zu sehen zusammen. Mit diesem Bericht kann der IT-Verantwortliche dann die gefundenen Löcher stopfen – allerdings nicht direkt mit dem Thycotic-Werkzeug,denn dieses erstellt nur den Report, hat aber selbst keine Administrationswerkzeuge an Bord.

Link-Code: https://thycotic.com/solutions/free-it-tools/free-unix-privileged-account-discovery-tool/

Mit Windows 11 hat Microsoft sein Clientbetriebssystem einem Update unterzogen, das mit zahlreichen sinnvollen neuen Features daherkommt. So dürfte der Großteil der Anwender die Überarbeitung von Startmenü und Taskbar begrüßen. Gleichzeitig hat Microsoft aber auch Funktionen abgeschafft, die Nutzer vermissen. Eine davon ist die Option, Anwendungen oder Dateien per Drag-and-Drop an die Taskbar zu heften. Ein kostenloses Tool mit dem vielsagenden Namen Windows11DragAndDropToTaskbarFix bringt diese Funktion zurück.

Windows11DragAndDropToTaskbarFix stellt das Drag-and-Drop-Feature auf einfache Weise wieder zur Verfügung und erfordert dazu keine umfangreichen Anpassungen des Systems. Zudem ist das Tool portabel und erfordert keine Installation. Nach seinem Start erscheint für zehn Sekunden ein Konsolenfenster und schon ist die Funktion eingerichtet.

Allerdings gilt es im Folgenden, die neue Drag-and-Drop-Funktion richtig zu bedienen: Zunächst muss der Anwender eine Datei auf das Taskbar-Icon einer Applikation ziehen, die dieses File öffnen kann. Die Anwendung muss dabei auch gestartet sein und im Folgenden zeigt Windows11DragAndDropToTaskbarFix einen Thumbnail dieser App, auf den die Datei dann zu verschieben ist. Es folgt ein kurzes Update des Fensters oder Interfaces der Applikation und anschließend ist der Anwender imstande, die gewünschte Datei dorthin zu schieben und sie künftig auf diesem Wege zu öffnen.